NetScaler-Lücke wird aktiv ausgenutzt: Gateways jetzt patchen

Das BSI warnt vor einer aktiv ausgenutzten Schwachstelle in Citrix NetScaler ADC und Gateway. Über einen Authentifizierungs-Bypass können Angreifer die Anmeldung an Remote-Zugängen umgehen – betroffen sind genau die Appliances, mit denen viele Unternehmen ihren VPN- und Homeoffice-Zugang absichern. Einen Workaround gibt es nicht, nur das Update hilft.

Was ist passiert?

Citrix hat eine kritische Sicherheitslücke in NetScaler ADC und NetScaler Gateway geschlossen. Die gefährlichste ist CVE-2026-19490 (auch geführt als EUVD-2026-62395) mit einem CVSS-Score von 9.3 (kritisch, CVSS v4.0). Es handelt sich um einen Authentifizierungs-Bypass über einen alternativen Zugriffspfad: Ein nicht angemeldeter Angreifer aus dem Netz kann die Anmeldung umgehen.

Die Lücke wird laut BSI und Sicherheitsforschern bereits aktiv ausgenutzt; erste Angriffsversuche wurden Anfang September beobachtet. Die US-Behörde CISA hat die Schwachstelle am 9. September 2026 in ihren Katalog bekannter ausgenutzter Lücken (KEV) aufgenommen. Im selben Advisory wird zusätzlich CVE-2026-19489 (CVSS 8.8) behandelt, das aber nur bei aktiviertem SIP ALG für Large-Scale NAT greift.

Wer ist betroffen?

Betroffen sind NetScaler ADC und NetScaler Gateway (inkl. der FIPS-Varianten) in diesen Versionen:

• Version 14.1 vor 14.1-73.32
• Version 13.1 vor 13.1-63.21

Entscheidend: Die Lücke ist nur ausnutzbar, wenn die Appliance als SSL-VPN-Gateway, ICA-Proxy, CVPN, RDP-Proxy oder AAA-Virtual-Server konfiguriert ist. Genau diese Rollen sind in der Praxis der Normalfall, wenn NetScaler für den Remote-Zugriff eingesetzt wird. Ältere, nicht mehr unterstützte Versionszweige (z. B. 12.1 und 13.0) erhalten keine Fixes mehr und sollten ohnehin abgelöst werden.

Was jetzt zu tun ist

1. Prüfen, ob NetScaler im Einsatz ist – häufig als VPN-, Remote-Desktop- oder Terminalserver-Zugang betrieben, teils vom IT-Dienstleister verwaltet.
2. Konfiguration klären: Ist die Appliance als Gateway, ICA-/RDP-Proxy oder AAA-vServer eingerichtet? Dann besteht akuter Handlungsbedarf.
3. Sofort updaten auf 14.1-73.32 bzw. 13.1-63.21 oder neuer (FIPS: entsprechende FIPS-/NDcPP-Builds). Einen Workaround gibt es nicht.
4. Nach dem Update kompromittierte Sitzungen beenden: aktive und persistente Sessions terminieren, damit vor dem Patch abgegriffene Zugänge unbrauchbar werden.
5. Auf Anzeichen einer Kompromittierung prüfen: ungewöhnliche Logins, neue Konten oder Konfigurationsänderungen. Im Verdachtsfall Vorfall behandeln, nicht nur patchen.

So hilft Binary System Services

Wir prüfen, ob Ihre Remote-Zugänge – NetScaler, VPN-Gateways oder Terminalserver – von dieser Lücke betroffen sind, spielen die Updates kontrolliert ein und beenden potenziell missbrauchte Sitzungen. Mit unserem Patch- und Monitoring-Service erfahren Sie bei kritischen Warnungen wie dieser frühzeitig, ob Sie handeln müssen – und im Ernstfall unterstützen wir bei der Vorfallbehandlung. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.